Toda loja virtual coleta dados: nome, CPF, endereço, telefone, e-mail, histórico de compras. Isso significa que a Lei Geral de Proteção de Dados, a LGPD, vale para você, mesmo sendo pequeno. A lei não proíbe coletar dados: ela exige motivo, transparência e segurança. Este guia traz orientação geral, e um advogado deve revisar os textos finais.
Que dados a loja coleta e para quê
O primeiro passo é saber o que você tem. Liste, em uma planilha simples, cada dado que a loja coleta, de onde vem, para que serve e com quem é compartilhado.
- Cadastro e pedido: nome, CPF ou CNPJ, e-mail, telefone e endereço, usados para vender, entregar e emitir nota.
- Pagamento: quem guarda os dados do cartão é o gateway, não a loja. Não armazene número, validade nem código de segurança.
- Navegação: cookies e ferramentas de análise, como Google Analytics e pixels de anúncios.
- Atendimento: conversas por WhatsApp, e-mail e redes sociais.
- Marketing: lista de e-mails, preferências e histórico de campanhas.
Pergunte para cada item: eu realmente preciso disso? O princípio da necessidade diz que você só deve coletar o mínimo para a finalidade. Pedir data de nascimento ou profissão sem uso real é risco sem benefício.
Por que você pode tratar cada dado
A LGPD exige uma base legal para cada uso. Para uma loja, as mais comuns são:
- Execução de contrato: os dados necessários para processar e entregar o pedido.
- Obrigação legal: guardar informações exigidas em nota fiscal e em obrigações fiscais.
- Legítimo interesse: usos razoáveis e esperados, como prevenir fraude, desde que não firam os direitos do cliente.
- Consentimento: necessário em usos que o cliente não esperaria, como enviar e-mail marketing ou usar cookies de publicidade.
Em caso de dúvida sobre qual base se aplica a cada situação, peça ajuda a um advogado ou a um profissional de privacidade.
Política de privacidade e aviso de cookies
A política de privacidade é a página que explica tudo isso ao cliente. Ela deve dizer, em linguagem simples:
- quem é a empresa e como falar com ela;
- quais dados são coletados e por quê;
- com quem os dados são compartilhados, como gateway, transportadora e plataforma da loja;
- por quanto tempo são guardados;
- como o cliente exerce os seus direitos.
Linke a política no rodapé, no cadastro e no checkout. Sobre cookies, use um aviso que deixe o visitante aceitar ou recusar os não essenciais, sem pré-marcar a aceitação. Veja outras páginas que a loja deve manter em páginas que toda loja virtual precisa ter.
Consentimento e e-mail marketing
Para mandar promoções, o consentimento deve ser livre, informado e específico. Na prática:
- use uma caixa de seleção desmarcada no checkout ou no formulário da newsletter, com um texto como “Quero receber ofertas e novidades por e-mail”;
- guarde quando e de onde a pessoa deu o consentimento;
- inclua link de descadastro em todo e-mail;
- não compre listas de e-mails de terceiros;
- separe quem se inscreveu na newsletter de quem apenas comprou ou comentou.
Mensagens transacionais, como confirmação de pedido e código de rastreio, não são marketing e podem ser enviadas normalmente. Para planejar as campanhas, veja e-mail marketing para loja virtual.
Compartilhamento com fornecedores
A loja raramente trabalha sozinha. Gateway, transportadora, plataforma de e-commerce, ferramenta de e-mail e contador recebem dados dos clientes, cada um com uma finalidade. Verifique as políticas de privacidade dessas empresas, envie a cada uma apenas o que ela precisa para fazer o serviço e não repasse listas de clientes a parceiros para fins de propaganda. Se contratar alguém para cuidar da loja, combine por escrito que os dados só podem ser usados no trabalho e não podem ser copiados para fora dela.
Direitos do cliente e canal de atendimento
A LGPD dá ao titular dos dados vários direitos, entre eles confirmar se a loja trata seus dados, acessá-los, corrigi-los, pedir a exclusão de dados desnecessários e revogar o consentimento. Para atender, a loja precisa de:
- um e-mail ou formulário específico para esses pedidos, divulgado na política de privacidade;
- um responsável por ler e responder;
- um prazo interno curto, lembrando que a lei prevê respostas rápidas;
- cuidado para confirmar a identidade de quem pede, para não entregar dados a quem não é o titular.
Alguns dados não podem ser apagados na hora, como os de pedidos e notas fiscais que a lei manda guardar por um período. Explique isso ao cliente, em vez de simplesmente negar.
Segurança dos dados e incidentes
Segurança não é um produto que se compra, é um conjunto de hábitos. Muitos vazamentos em lojas pequenas vêm de senhas fracas, planilhas esquecidas em e-mails e acessos de ex-funcionários que nunca foram desativados.
A lei também exige medidas de segurança proporcionais ao risco. Para uma loja pequena, isso significa hábitos básicos:
- senhas fortes e verificação em duas etapas nos painéis da loja, do gateway e do e-mail;
- acessos limitados: cada pessoa da equipe vê apenas o que precisa;
- atualizações da plataforma, dos plugins e dos computadores em dia;
- backups guardados em local seguro;
- cuidado ao exportar planilhas de clientes e ao enviar por e-mail ou WhatsApp, apagando o arquivo quando não for mais necessário;
- remoção imediata do acesso de quem deixa a equipe;
- atenção ao usar ferramentas de inteligência artificial com dados de clientes, como explica o artigo IA é segura para dados de clientes?.
Se houver um vazamento ou acesso indevido, registre o que aconteceu, contenha o problema, troque senhas e consulte um advogado sobre comunicar a ANPD e as pessoas afetadas. O guia vazamento de dados: o que fazer mostra os primeiros passos.
Por onde começar
A ANPD, que fiscaliza a lei, prevê regras mais simples para negócios de pequeno porte, mas os princípios e os direitos das pessoas continuam valendo. Em uma semana é possível avançar bastante: faça o levantamento de dados, publique ou atualize a política de privacidade, ajuste o consentimento de marketing, crie o e-mail de contato para titulares e ative a verificação em duas etapas nos painéis. Marque na agenda uma revisão a cada seis meses, ou sempre que a loja adotar uma ferramenta nova.